Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- 1####.####.34:19000
- 1####.####.57:10001
- a####.####.com
- huangda####.com
- i####.####.com
- l####.####.com
Запросы HTTP GET:
- 1####.####.57:10001/v1/order/get?phone=####&imei=####&sdk_version=####&c...
- a####.####.com/ando/i/mon?k=####&d=####
- huangda####.com/resource!resource?resTypes=####&appid=####&channel=####&...
- i####.####.com/ando-res/ads/0/9/837ec120-ccf8-4ad0-b6fd-1303ff645eca/773...
Запросы HTTP POST:
- 1####.####.34:19000/v2/chis
- l####.####.com/sdk.php
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-3630758/GUuxuGJxz6Dd5nPZ
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/0nqUq53SN_3L_IGk1U68Kxpb0DQMt2-S_7BXh35TjICWz5ap-SpBg7QYf71U=
- <Package Folder>/databases/0nqUq53SN_3L_IGk1U68Kxpb0DQMt2-S_7BXh35TjICWz5ap-SpBg7QYf71U=-journal
- <Package Folder>/databases/0nqUq53SN_3L_IGk1U68Kxpb0DQMt2-S_9-ccEdPCYVp66eOaiK3KOg==
- <Package Folder>/databases/0nqUq53SN_3L_IGk1U68Kxpb0DQMt2-S_9-ccEdPCYVp66eOaiK3KOg==-journal
- <Package Folder>/databases/0nqUq53SN_3L_IGk1U68Kxpb0DQMt2-S_A0qTNlgINa6sPU1x
- <Package Folder>/databases/0nqUq53SN_3L_IGk1U68Kxpb0DQMt2-S_A0qTNlgINa6sPU1x-journal
- <Package Folder>/databases/0nqUq53SN_3L_IGk1U68Kxpb0DQMt2-S_Uc4ktlQoyyHtgBkS4yLDeA==
- <Package Folder>/databases/0nqUq53SN_3L_IGk1U68Kxpb0DQMt2-S_Uc4ktlQoyyHtgBkS4yLDeA==-journal
- <Package Folder>/databases/0nqUq53SN_3L_IGk1U68Kxpb0DQMt2-S_zdH75wOP4nk=-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/0pojMsnnjkec3mx6-Dpg-WC5XINUnq46
- <Package Folder>/files/####/0pojMsnnjkec3mx6-Dpg-WC5XINUnq46.new
- <Package Folder>/files/####/0pojMsnnjkec3mx6-Dpg-WC5XINUnq46.old (deleted)
- <Package Folder>/files/####/3f62bbae-8fc1-482c-9db8-885ea456dc4b.pic.temp
- <Package Folder>/files/####/494c8404-2f7c-46a2-9e45-d68484dfac44.pic
- <Package Folder>/files/####/5-VN8M4qBpfLx7MdlCD1CDifd9w=
- <Package Folder>/files/####/5-VN8M4qBpfLx7MdlCD1CDifd9w=.new
- <Package Folder>/files/####/536dc49a-3ff1-497e-8ec1-70e263b2a1cd.pic.temp
- <Package Folder>/files/####/5f0945db-491b-4f3c-95f0-bfd9509746bb.pic.temp
- <Package Folder>/files/####/7rM9qHBCFvl4GqAhwb1iBGOVyFgWhn_y.new
- <Package Folder>/files/####/8KQHWKY-nl1oHDmYj2_KNSyxyUgoRMaQhK0Cu487-5w=.new
- <Package Folder>/files/####/8L_z4hnX3NmnxuDOWdg4zkdWO8A54RvwYgqX6SgRFE0=.new
- <Package Folder>/files/####/F2kXE66RVXE_qsFwfIUoUgpgARaMUxNs72YCkg==.new
- <Package Folder>/files/####/GaRpRA4nAcp1PlJqHZQnRcAVevHv_jnb2Z1pG81VjoU=.new
- <Package Folder>/files/####/HvZSgZHl2jYD1w7DD4mNew==.new
- <Package Folder>/files/####/IgOby1nSrU8oGM2k62M7Yucfo6r7nizQ.new
- <Package Folder>/files/####/KK9WxPZA3T3m1ALACKYYRA==
- <Package Folder>/files/####/OY2iV8cB-RoXRWa27ksUeg==.new
- <Package Folder>/files/####/U5Mq1u9vUaQV-II0jUnGZd0vW8dmSUuf.new
- <Package Folder>/files/####/VK6cH6X62-YG3s5OrfDLBUYK6jLvfzx7.new
- <Package Folder>/files/####/VckZRwIfJBaANik9.zip
- <Package Folder>/files/####/XnI2QIocHvNGPMtpoH_h-Qrjzvu3We16.new
- <Package Folder>/files/####/amcWdBD1ErgBEEtL
- <Package Folder>/files/####/ashq02KGbXodN9v3.new
- <Package Folder>/files/####/bbb5oAygayO7QxqrfCyzDA==
- <Package Folder>/files/####/bbb5oAygayO7QxqrfCyzDA==.new
- <Package Folder>/files/####/bbb5oAygayO7QxqrfCyzDA==.old (deleted)
- <Package Folder>/files/####/bf5901e1-97df-4ea3-a8f5-f380d8334013.pic.temp
- <Package Folder>/files/####/c304be44-d538-4fd8-9d4d-3cd29dacaf28.pic.temp
- <Package Folder>/files/####/d00dbc0e-ca60-442b-bbae-d74ca6a9b608.pic.temp
- <Package Folder>/files/####/dCYkOlIccII4egQO_qKqSlUNlOncF0wK.new
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/eIUoSg9yAYbunGdNzq4dbB08EFMX5umN.new
- <Package Folder>/files/####/eb1fdfd9-d9cd-417a-b491-8213ecce5181.pic
- <Package Folder>/files/####/g9kuleYIN3aAAMxfZl7TXeibGnvTkzEkex9vb6Lposs=.new
- <Package Folder>/files/####/h6InY9GCQNmyDvWG_L-eMjR-1ho=
- <Package Folder>/files/####/h7QfcqXtz3AnS_Pon1dKqPN-OEk=
- <Package Folder>/files/####/iFAKslNtGh8thH1MDy8oyMfLVXo=.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/ovm4jURaQjpnprGKclDTn_gO1c4=.new
- <Package Folder>/files/####/q-s7YWu-A7Qm310SzRr5RG-I1ncf_-iGrB0lYw==.new
- <Package Folder>/files/####/runner_info.prop
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/x6AM6eC4LUzyl0DcuVoVv13GNsCjvg655DSGHA==.new
- <Package Folder>/files/####/xjNMPEKqMvIlHMT-2qIzA3UmlgE=.new
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/2921f6e3-d30a-42b2-94b2-e6dd07b9f412.res
- <SD-Card>/.armsd/####/2fc92385-df3a-45b9-be5e-3535fae6022a.res
- <SD-Card>/.armsd/####/45f98741-abc1-492b-a6d2-756c741dc345.res
- <SD-Card>/.armsd/####/56838376-3e00-4eca-ab57-3c9ecf7e0be8.res
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-3630758/GUuxuGJxz6Dd5nPZ -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- <error:2>
- sh <Package Folder>/code-3630758/GUuxuGJxz6Dd5nPZ -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- yrofe
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
